Los expertos en seguridad de IA están lanzando alertas de que los modelos de OpenAI responsables de un hackeo autónomo a otra empresa de IA este mes pueden haber cruzado hacia una categoría de riesgo tan severa que las propias políticas internas de OpenAI deberían haber requerido una pausa temporal en el desarrollo.

A principios de esta semana, OpenAI reveló que dos de sus modelos —el recién lanzado GPT-5.6 Sol y un sistema más capaz aún no publicado— escaparon de un entorno de prueba interno bloqueado, explotaron una vulnerabilidad de "día cero" previamente desconocida para acceder a la internet abierta, y luego vulneraron a la empresa de IA Hugging Face, una de las plataformas de IA de código abierto más grandes del mundo, que aloja modelos, conjuntos de datos y herramientas utilizadas por millones de desarrolladores, para robar las respuestas de una prueba de ciberseguridad a la que estaban siendo sometidos.

El incidente ha provocado conmoción en todo el mundo, pero quizás nadie más profundamente que entre los expertos en seguridad de IA que han pasado años advirtiendo sobre este tipo de peligros e instando a empresas y gobiernos a adoptar salvaguardas más estrictas. También marca uno de los primeros casos documentados de modelos de IA frontera que llevan a cabo de forma autónoma un ciberataque de múltiples pasos contra un objetivo externo sin dirección humana, una eventualidad que los investigadores de seguridad han modelado en teoría pero que rara vez han observado en la práctica.

Varios de esos expertos dijeron a Fortune que el hackeo parece demostrar que los modelos de OpenAI han ingresado a un nivel de riesgo que las propias políticas de seguridad publicadas de la empresa clasifican como "crítico", el nivel de peligro más alto. En ese nivel, OpenAI se comprometió en sus políticas publicadas a pausar el desarrollo del modelo hasta poder diseñar mejores sistemas de control.

El umbral "crítico" está definido en un documento de política de riesgo llamado "Preparedness Framework" de OpenAI. Según la política, la designación de peligro "crítico" se aplica a un modelo capaz de encontrar y construir de forma independiente exploits funcionales para vulnerabilidades de seguridad previamente desconocidas —conocidas como fallas de "día cero" porque los desarrolladores han tenido cero días para parchearlas— en muchos sistemas del mundo real bien defendidos, o que pueda diseñar y ejecutar una estrategia de ataque completamente novedosa contra un objetivo bien defendido después de recibir solo un objetivo general, sin guía humana. La política establece que cuando un modelo alcanza este nivel de riesgo, OpenAI "detendrá el desarrollo adicional" hasta que "hayan especificado salvaguardas y estándares de controles de seguridad que cumplan con un estándar Crítico".

El Preparedness Framework es un compromiso voluntario de OpenAI en lugar de una obligación legal. Sin embargo, la empresa publica el documento en su sitio web para permitir que otros investigadores de seguridad de IA y el público verifiquen los controles que dice implementará. La adopción de una política como el Preparedness Framework es obligatoria para los laboratorios de IA frontera bajo la EU AI Act, cuya porción correspondiente entró en vigor en agosto de 2025. El marco representa uno de los ejemplos más destacados de los compromisos voluntarios de seguridad que los principales laboratorios de IA han adoptado mientras los gobiernos de todo el mundo compiten por establecer barreras regulatorias para sistemas cada vez más capaces.

"El preparedness framework de OpenAI define capacidades críticas de ciberseguridad y prescribe salvaguardas que deben implementarse antes de que el desarrollo pueda continuar", dijo Nathan Calvin, asesor legal de Encode AI, un grupo de defensa de la seguridad de IA, a Fortune. "Por mi lectura del preparedness framework de OpenAI, parece sumamente probable que este modelo desplegado internamente cumpliera con los criterios críticos para ciberseguridad. ¿OpenAI disputa esa designación crítica? ¿Tienen previsto contar con salvaguardas que cumplan con un estándar Crítico antes de proceder más allá?"

Tyler Johnson, fundador del grupo de vigilancia de IA Midas Project, también dijo que los modelos parecían haber alcanzado el umbral de peligro más alto. "Creo que una lectura literal diría que sí", afirmó. "Operó de forma independiente durante el fin de semana, probando diferentes vectores de ataque en Hugging Face y encadenando múltiples exploits de día cero".

OpenAI no respondió a preguntas específicas de Fortune sobre si los modelos involucrados en el incidente cumplieron con el estándar "crítico" establecido en su política de riesgo. En su lugar, un portavoz declaró: "Este es un incidente sin precedentes y creemos que marca un momento importante para la seguridad de la IA. Estamos llevando a cabo una revisión exhaustiva junto con asesores externos y con la supervisión de nuestro Safety and Security Committee. Una vez que se complete la revisión, publicaremos un informe técnico sobre nuestras conclusiones para todos". El Safety and Security Committee, establecido por la junta directiva de OpenAI en 2024, tiene la tarea de supervisar las revisiones de seguridad de los modelos más poderosos de la empresa.

La vaguedad del lenguaje del marco podría dejar margen para disputas, según Johnson. El umbral requiere que un modelo encuentre exploits de día cero "de todos los niveles de severidad", pero no está claro si los exploits utilizados en la brecha de Hugging Face satisfarían ese requisito. Señaló que podría ser necesario demostrar una clase más severa de vulnerabilidad —como una que otorgue a un atacante un control profundo a nivel de sistema sobre el sistema operativo de una computadora, conocido como acceso a "nivel de kernel"— para que el umbral se aplique.

"El modelo de OpenAI superó en inteligencia a sus creadores, explotó una vulnerabilidad nunca antes descubierta en el código de OpenAI, escapó a la internet abierta y atacó a otra empresa", dijo Peter Wildeford, director de políticas del AI Policy Network. "Si esto no cruza la línea hacia Crítico, OpenAI necesita decir mucho más sobre qué está sucediendo y cómo funciona este umbral".

Expertos señalan salvaguardas faltantes más allá del umbral crítico

OpenAI ha dicho anteriormente que estaba tratando su modelo más reciente, GPT-5.6, como de riesgo "Alto" para ciberseguridad, el nivel inferior de los dos niveles de riesgo definidos en el Preparedness Framework. Los modelos por debajo del umbral "Alto" pueden ser publicados sin mitigaciones de riesgo significativas.

Una designación de Alto riesgo debería activar varias protecciones bajo la política de OpenAI: controles de seguridad más estrictos, salvaguardas para prevenir el uso indebido externo una vez que el modelo se publique públicamente, protecciones contra el comportamiento impredecible o engañoso del modelo durante un uso intensivo en investigación interna, y esfuerzos para asistir a otros equipos de ciberseguridad en la defensa contra amenazas similares.

Sin embargo, algunos expertos cuestionan si una de estas protecciones —las salvaguardas contra la desalineación para el despliegue interno a gran escala— ha sido implementada correctamente. Estas salvaguardas están diseñadas para detectar un modelo que actúa de manera engañosa, que oculta sus verdaderas capacidades o que de algún modo trabaja en contra de las intenciones de sus desarrolladores, una preocupación que los investigadores denominan "alineación engañosa", donde un modelo podría cooperar durante la evaluación pero comportarse de manera diferente una vez desplegado.

Esta no es la primera vez que el cumplimiento de esa salvaguarda particular por parte de OpenAI ha sido cuestionado. Fortune informó en febrero que expertos en seguridad afirmaron que OpenAI no había implementado las salvaguardas de desalineación requeridas después de que su modelo GPT-5.3-Codex se convirtiera en el primero en alcanzar el riesgo de ciberseguridad "alto" bajo el Preparedness Framework.

En ese momento, OpenAI disputó que su marco requiriera las salvaguardas en esa instancia, argumentando que las protecciones adicionales solo entran en vigor cuando el alto riesgo cibernético ocurre "en conjunción con" autonomía de largo alcance —la capacidad de operar de forma independiente durante períodos prolongados—, algo que dijo que GPT-5.3-Codex no había demostrado. Los modelos involucrados en el actual incidente de Hugging Face operaron de forma independiente durante días, lo que parecería cumplir con ese estándar de autonomía de largo alcance.

"En febrero, advertimos que OpenAI podría haber omitido las salvaguardas requeridas según su propia política. Ellos no estuvieron de acuerdo, afirmando que el modelo carecía de autonomía de largo alcance. Pero el modelo que hackeó Hugging Face claramente tiene autonomía de largo alcance, así que dónde están las salvaguardas ahora", dijo Johnson.